Polityka Prywatności

HRPanorama Sp. z o.o., właściciel serwisu hrpanorama.pl, dokłada wszelkich starań, aby chronić prywatność osób korzystających z tego serwisu.

Niniejsza Polityka Prywatności określa w jaki sposób dbamy o Twoje dane osobowe i zapewniamy realizację Twoich praw w związku z Twoimi danymi osobowymi, które zbieramy w sytuacjach opisanych w niniejszej Polityce Prywatności. Ma ona na celu również realizację naszego obowiązku zgodnego z prawem, rzetelnego i przejrzystego przetwarzania danych.

Używane pojęcia w Polityce Prywatności

HR Panorama lub Administrator – HRPanorama Sp. z o.o. z siedzibą w Krakowie, ul. Feliksa Wrobela 13, 30-798 Kraków.

Konto – zbiór danych i ustawień utworzonych dla Użytkownika w ramach Systemu, wykorzystywanych do zarządzania usługami świadczonymi z pomocą Systemu.

Profil – funkcjonalność Konta umożliwiająca Użytkownikowi zbieranie wybranych informacji, w tym dotyczących przebiegu jego dotychczasowego zatrudnienia, kwalifikacji, historii edukacji oraz innych umiejętności.

Newsletter – usługa świadczona za pośrednictwem poczty elektronicznej, w której na podany przez Użytkownika adres poczty elektronicznej (adres e-mail), wysyłana jest przez HR Panorama informacja w formie listu elektronicznego (e-mail).

Polityka Prywatności – niniejszy dokument.

Regulamin – Regulamin świadczenia usług drogą elektroniczną w ramach Systemu należącego do HRPanorama sp. z o.o. w wersji aktualnie obowiązującej.

RODO – Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych).

Serwis – serwis internetowy należący do HRPanorama Sp z o. o., w ramach którego HR Panorama świadczy swoje usługi, w tym pozwala na dokonanie zapisu do Newslettera, na dostęp do treści w ramach bloga, na zapoznanie się ze szczegółami Systemu oferowanego przez HR Panorama lub przejście do rejestracji lub logowania do tego Systemu. Serwis umieszczony jest pod następującymi adresami: www.hrpanorama.com, www.hrpanorma.pl, hrpanorama.no.

System – system informatyczny pod nazwą HR Panorama udostępniany Usługobiorcy drogą elektroniczną w modelu SaaS z wykorzystaniem przeglądarki internetowej umożliwiający obsługę procesów HR.

Użytkownik – pełnoletnia osoba fizyczna, która posiada Konto lub w inny sposób korzysta z usług oferowanych przez HR Panorama za pomocą Serwisu.

Ty, Twój – odpowiednio Użytkownik.

W Polityce Prywatności używamy także nazw poszczególnych usług i funkcjonalności Konta, które zostały zdefiniowane i szczegółowo opisane w Regulaminie.

I Administrator danych osobowych

1. Administratorem danych osobowych w rozumieniu art. 4 pkt 7 RODO jest HRPanorama Spółka z ograniczoną odpowiedzialnością z siedzibą w Krakowie, pod adresem ul. Feliksa Wrobela 13, 30-798 Kraków, wpisana do rejestru przedsiębiorców Krajowego Rejestru Sądowego przez Sąd Rejonowy dla Krakowa Śródmieścia w Krakowie, XI Wydział Gospodarczy Krajowego Rejestru Sądowego pod numerem KRS: 0000827108, NIP: 6793196738, REGON: 385580424, kapitał zakładowy 50.000 zł.
2. Dane kontaktowe Administratora danych. Adres e-mail: hello@hrpanorama.com.
3. Administrator w myśl art. 32 ust. 1 RODO przestrzega zasad ochrony danych osobowych oraz stosuje odpowiednie środki techniczne i organizacyjne w celu zapobieżenia przypadkowego lub niezgodnego z prawem zniszczenia, utraty, modyfikacji, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przetwarzanych w związku z prowadzoną działalnością.
4. Podanie danych osobowych jest co do zasady dobrowolne. W niektórych przypadkach podanie pewnych kategorii danych może być jednak niezbędne, w tym dla założenia Konta w Systemie i skorzystania z usług, które świadczy HR Panorama z pomocą Systemu, a także do zamówienia usługi w postaci Newslettera, w celu dostarczenia go Użytkownikowi.
5. Administrator danych przetwarza dane osobowe wyłącznie w zakresie wymaganym do prawidłowej realizacji celów wskazanych w niniejszej Polityce Prywatności.

II Cel i podstawy przetwarzania danych osobowych

1. Administrator przetwarza dane osobowe w następujących celach:
a) przygotowanie i przesłanie oferty handlowej w odpowiedzi na zainteresowanie Użytkownika, co jest naszym prawnie uzasadnionym interesem jako administratora danych (art. 6 ust. 1 lit. f RODO);
b) zawarcie umowy z HR Panorama i świadczenie usług za pośrednictwem Serwisu w wykonaniu zawartej umowy (art. 6 ust. 1 lit. b RODO);
c) obsługa procesu reklamacyjnego, na podstawie obowiązku ciążącego na nas jako administratorze danych w związku z obowiązującymi przepisami prawa (art. 6 ust. 1 lit. c RODO);
d) wykonanie obowiązków rachunkowych, w tym związanych z wystawianiem i przyjmowaniem dokumentów rozliczeniowych oraz ich rozliczeniem, na podstawie przepisów prawa podatkowego (art. 6 ust. 1 lit. c RODO);
e) archiwizacja danych i wykonanie kopii zapasowych w związku z nałożonym na nas jako na administratora danych obowiązkiem prawidłowego zabezpieczenia danych i w oparciu o nasz prawnie uzasadniony interes jako administratora danych osobowych (art. 6 ust. 1 lit. f RODO);
f) dochodzenie lub obrona przed roszczeniami kierowanymi wobec HR Panorama, co jest naszym prawnie uzasadnionym interesem jako administratora danych (art. 6 ust. 1 lit f RODO);
g) kontakt telefoniczny lub za pośrednictwem poczty elektronicznej, w szczególności w odpowiedzi na zapytania kierowane do Administratora danych, co jest naszym prawnie uzasadnionym interesem jako  administratora danych (art. 6 ust. 1 lit. f RODO);
h) przesyłanie informacji technicznych dotyczących funkcjonowania Systemu i usług, z których korzysta Użytkownik, co jest naszym prawnie uzasadnionym interesem jako administratora danych (art. 6 ust. 1 lit. f RODO);
i) marketing produktów własnych Administratora danych, w tym dostarczanie informacji handlowych, badania konwersji i optymalizacja działań marketingowych pod konkretnych odbiorców, co jest naszym prawnie uzasadnionym interesem (art. 6 ust. 1 lit. f RODO) lub odbywa się na podstawie uprzednio udzielonej nam zgody (art. 6 ust. 1 lit. a RODO),
j) analiza zachowania Użytkownika korzystającego z Serwisu, analiza skąd trafił do nas Użytkownik oraz analiza działania samego Systemu w celu poprawy funkcjonowania, bezpieczeństwa i usuwania błędów, co jest naszym prawnie uzasadnionym interesem (art. 6 ust. 1 lit. f RODO);
k) w przypadku, gdy HR Panorama będzie stroną umowy z podmiotem, w którym zatrudniony jest Użytkownik, HR Panorama może również przetwarzać dane osobowe Użytkownika w celu realizacji tej umowy i wówczas występować będzie jako podmiot przetwarzający dane osobowe Użytkownika na zlecenie podmiotu trzeciego (podmiotu, z którym HR Panorama będzie mieć zawartą umowę).

III Odbiorcy danych. Przekazywanie danych do państw trzecich

1. Odbiorcami danych osobowych przetwarzanych przez Administratora danych mogą być podmioty przetwarzające dane osobowe na zlecenie HR Panorama, w tym podmioty, z usług których HR Panorama korzysta, gdy jest to niezbędne do realizacji celów wskazanych w niniejszej Polityce Prywatności, w tym podmioty świadczące usługi:
a) hostingu i przechowywania danych i aplikacji w „chmurze obliczeniowej”,
b) wysyłki wiadomości e-mail i SMS,
c) konwersji dokumentów,
d) płatności online,
e) obsługi błędów,
f) zapewniające dodatkowe funkcjonalności, jak np. chat,
g) analizy i monitorowania zachowania Użytkowników,
h) wsparcia działań marketingowych,
i) inne usługi, w tym IT, księgowe.

2. Odbiorcami danych osobowych przetwarzanych przez Administratora danych mogą być również podmioty, które realizują własne cele w zakresie przetwarzania danych osobowych – w tym np. podmioty realizujące obsługę płatności za korzystanie z usług HR Panorama, biura rachunkowe, kancelarie prawne, podmioty w stosunku do których Administrator danych może być zobowiązany do udostepnienia danych osobowych na podstawie obowiązujących przepisów prawa (w szczególności uprawnione organy lub instytucje państwowe).
3. Przekazanie danych może następować również do podmiotów poza Europejskim Obszarem Gospodarczym (EOG). Każdorazowo, gdy Twoje dane osobowe będą przekazywane poza Europejski Obszar Gospodarczy lub do państw, które nie zapewniają takiego samego lub odpowiedniego poziomu ochrony danych osobowych, zadbamy o to, by odbywało się to w oparciu o ważną podstawę prawną oraz z wykorzystaniem prawem wymaganych zabezpieczeń.
4. W Serwisie zamieszczone mogą być łącza odsyłające do stron internetowych osób trzecich. W stosunku do osób odwiedzających te strony obowiązują inne zasady niż opisane w tej Polityce Prywatności w zakresie przetwarzania danych osobowych, jak również kto inny jest administratorem danych tam przetwarzanych. Zalecamy zapoznanie się z zasadami obowiązującymi w zakresie przetwarzania danych osobowych publikowanymi przez administratorów tych stron.
5. W Serwisie zamieszczone mogą być też wtyczki mediów społecznościowych. Korzystając z Serwisu adres IP Twojego urządzenia oraz identyfikator przeglądarki, którą używasz przekazywane są do dostawców tych mediów społecznościowych. Dzięki tej integracji dostawcy tych mediów otrzymują informację, że Twoja przeglądarka wyświetliła stronę naszego Serwisu, nawet jeśli nie posiadasz profilu w danych mediach społecznościowych, czy nie jesteś akurat zalogowany. Naciśnięcie na przycisk wtyczki mediów społecznościowych (np. „Lubię to” lub „Udostępnij”) dodatkowo nawiązuje bezpośrednie połączenie z serwerami dostawców tych mediów, którzy mogą zbierać inne dane z Twojego urządzenia. Zwróć uwagę, że nie mamy wpływu na to, jakie dane są zbierane przez media społecznościowe po kliknięciu w ich przycisk. Więcej informacji odnośnie do celu oraz zakresu zbieranych przez te podmioty danych oraz w jaki sposób są przetwarzane, używane, chronione Twoje dane osobowe, w tym jakie przysługują Ci w związku z tym prawa i możliwe do wyboru opcje w celu ochrony prywatności znajdziesz na stronie Facebook Ireland Ltd.,Irlandia: https://pl-pl.facebook.com/privacy/explanation.
Wskazujemy, iż wraz z Facebook Ireland Limited, HR Panorama pełni funkcję współadministratora w zakresie przetwarzania danych na potrzeby statystyk. Informacje na temat zasad współadministrowania danymi przez HR Panorama i Facebook znajdziesz na tej stronie
https://www.facebook.com/legal/terms/page_controller_addendum. Natomiast informacje o tym jak Facebook przetwarza dane osobowe na potrzeby statystyk dostępne są w tym miejscu: https://www.facebook.com/legal/terms/information_about_page_insights_data.

IV Okres przechowywania danych osobowych

1. Administrator danych przechowuje dane osobowe związane z zawarciem i wykonywaniem oraz rozliczeniem umów przez okres obowiązywania umowy zawartej z osobą, której dane dotyczą oraz po zakończeniu jej obowiązywania w celach związanych z dochodzeniem roszczeń związanych z umową lub wykonania obowiązków wynikających z obowiązujących przepisów prawa (w tym prawa podatkowego), ale przez czas nie dłuższy niż termin przedawnienia zgodnie z przepisami Kodeksu cywilnego lub przepisami prawa podatkowego.
2. Administrator danych przechowuje dane osobowe znajdujące się w kopiach archiwalnych i zapasowych przez okres ustalony zgodnie z dokumentacją stosowanych przez Administratora zabezpieczeń.
3. Administrator danych przechowuje dane osobowe przetwarzane w celach marketingowych oraz dane osób, które skorzystały z Serwisu, ale nie zawarły umowy z Administratorem i dane zebrane dla celów analizy zachowania Użytkowników Serwisu przez okres do lat 3 liczonych od końca roku, w którym dane zostały zebrane, jednak nie dalej niż do momentu wycofania zgody na przetwarzanie danych lub wniesienia sprzeciwu wobec przetwarzania danych.
4. W sytuacji, gdy HR Panorama występuje w roli podmiotu przetwarzającego Twoje dane osobowe na zlecenie innego administratora, HR Panorama przetwarzać będzie Twoje dane osobowe przez okres wynikający z umowy powierzenia lub innego instrumentu prawnego regulującego przetwarzanie danych na zlecenie tego podmiotu.
5. Administrator danych usunie dane osobowe z upływem terminu wskazanego powyżej, chyba że przetwarzanie danych będzie mogło być kontynuowane na innej podstawie prawnej niż dotychczasowa.

V Uprawnienia osoby, której dane dotyczą

1. Każda osoba, której dane dotyczą, ma prawo:
a) dostępu – uzyskania od Administratora potwierdzenia, czy przetwarzane są jej dane osobowe. Jeżeli dane o osobie są przetwarzane, jest ona uprawniona do uzyskania dostępu do nich oraz uzyskania następujących informacji: o celach przetwarzania, kategoriach danych osobowych, informacji o odbiorcach lub kategoriach odbiorców, którym dane zostały lub zostaną ujawnione, o okresie przechowywania danych lub o kryteriach ich ustalania, o prawie do żądania sprostowania, usunięcia lub ograniczenia przetwarzania danych osobowych przysługujących osobie, której dane dotyczą, oraz do wniesienia sprzeciwu wobec takiego przetwarzania (art. 15 RODO);
b) do otrzymania kopii danych – uzyskania kopii danych podlegających przetwarzaniu, przy czym pierwsza kopia jest bezpłatna, a za kolejne kopie Administrator może nałożyć opłatę w rozsądnej wysokości wynikającą z kosztów administracyjnych (art. 15 ust. 3 RODO);
c) do sprostowania – żądania sprostowania dotyczących jej danych osobowych, które są nieprawidłowe lub uzupełnienia niekompletnych danych (art. 16 RODO);
d) do usunięcia danych – żądania usunięcia jej danych osobowych, jeżeli Administrator nie ma już podstawy prawnej do ich przetwarzania lub dane nie są już niezbędne do celów przetwarzania (art. 17 RODO);
e) do ograniczenia przetwarzania – żądania ograniczenia przetwarzania danych osobowych (art. 18 RODO), gdy:
– osoba, której dane dotyczą, kwestionuje prawidłowość danych osobowych – na okres pozwalający Administratorowi sprawdzić prawidłowość tych danych,
– przetwarzanie jest niezgodne z prawem, a osoba, której dane dotyczą, sprzeciwia się ich usunięciu, żądając ograniczenia ich wykorzystywania,
– Administrator nie potrzebuje już tych danych, ale są one potrzebne osobie, której dane dotyczą, do ustalenia, dochodzenia lub obrony roszczeń,
– osoba, której dane dotyczą, wniosła sprzeciw wobec przetwarzania – do czasu stwierdzenia, czy prawnie uzasadnione podstawy po stronie Administratora są nadrzędne wobec podstaw sprzeciwu osoby, której dane dotyczą;
f) do przenoszenia danych – otrzymania w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego danych osobowych jej dotyczących, które dostarczyła Administratorowi, oraz żądania przesłania tych danych innemu administratorowi, jeżeli dane są przetwarzane na podstawie zgody osoby, której dane dotyczą lub umowy z nią zawartej oraz jeżeli dane są przetwarzane w sposób zautomatyzowany (art. 20 RODO);
g) do sprzeciwu – wniesienia sprzeciwu wobec przetwarzania jej danych osobowych w prawnie uzasadnionych celach Administratora, z przyczyn związanych z jej szczególną sytuacją, w tym wobec profilowania. Wówczas Administrator dokonuje oceny istnienia ważnych prawnie uzasadnionych podstaw do przetwarzania, nadrzędnych wobec interesów, praw i wolności osób, których dane dotyczą, lub podstaw do ustalenia, dochodzenia lub obrony roszczeń. Jeżeli zgodnie z oceną interesy osoby, której dane dotyczą, będą ważniejsze od interesów Administratora, Administrator będzie zobowiązany zaprzestać przetwarzania danych w tych celach (art. 21 RODO).
2. Aby skorzystać z wyżej wymienionych praw, osoba, której dane dotyczą, powinna skontaktować się, wykorzystując podane dane kontaktowe, z Administratorem i poinformować go, z którego prawa i w jakim zakresie chce skorzystać.
3. Osoba, której dane dotyczą, ma prawo wnieść skargę do organu nadzoru, którym jest Prezes Urzędu Ochrony Danych Osobowych w Warszawie. Skargę można wnieść na piśmie (na adres: ul. Stawki 2, 00-193 Warszawa lub drogą elektroniczną przez Elektroniczną Skrzynkę Podawczą Prezesa Urzędu).

VI Profilowanie i zautomatyzowane podejmowanie decyzji

W pewnych sytuacjach Administrator lub podmiot trzeci z pomocy którego Administrator korzysta, jest w stanie połączyć informacje zebrane za pomocą plików cookie i innych podobnych technologii z konkretną, możliwą do zidentyfikowania osobą. Dane osobowe w takim przypadku mogą być poddawane profilowaniu za pomocą narzędzi do analizy zachowania Użytkowników na stronie internetowej. Stworzony z pomocą tych danych profil Użytkownika służyć może do wyświetlenia Użytkownikowi reklam dostosowanych do tego profilu. Dane te, ani tak stworzony profil nie będą jednak służyć do zautomatyzowanego podejmowania decyzji w stosunku do Użytkownika.

VII Jak dbamy o bezpieczeństwo

Dokładamy wszelkich starań, aby zapewnić bezpieczeństwo Twoich danych osobowych.
System używa szyfrowanej transmisji danych (SSL) podczas rejestracji i logowania, co zapewnia ochronę identyfikujących Cię danych oraz znacząco utrudnia przechwycenie dostępu do Twojego Konta przez nieupoważnione systemy lub osoby. Umożliwiamy również włączenie procesu dwuskładnikowej autentykacji dla Użytkowników Systemu. Dokumenty oraz część danych przetwarzanych z pomocą Systemu podlegają szyfrowaniu. Dbamy również o odpowiednią separację baz danych, z których korzysta System, a także wykonujemy regularnie kopie zapasowe baz danych.

VIII W jaki sposób korzystamy z plików Cookies

Szczegóły dotyczące sposobu korzystania przez nas z plików cookies znajdziesz w Polityce Cookies.

IX Dane Użytkowników pozyskiwane za pośrednictwem usług Google (Google Sign-In, Google Calendar)

HR Panorama oferuje opcjonalne integracje z usługami Google, w tym logowanie jednokrotne (Google Sign-In / SSO) oraz integrację z Kalendarzem Google (Google Calendar). Poniżej szczegółowo opisujemy, jakie dane Google przetwarzamy, w jaki sposób je wykorzystujemy oraz jak je chronimy. Korzystanie z danych Google przez HR Panorama jest zgodne z Google API Services User Data Policy, w tym z wymogami Limited Use dla danych pozyskiwanych w ramach scope’ów wrażliwych (sensitive scopes).

1. Zakres przetwarzanych danych Google (Data Accessed)

W ramach integracji z usługami Google HR Panorama uzyskuje dostęp do następujących danych konta Google Użytkownika, w zakresie scope’ów OAuth 2.0, na które Użytkownik wyraził zgodę:

a) Google Sign-In (scopes: openid, email, profile)

• adres e-mail (email),
• potwierdzenie weryfikacji adresu e-mail (email_verified),
• imię i nazwisko (name, given_name, family_name),
• unikalny identyfikator konta Google (sub),
• adres URL zdjęcia profilowego (picture),
• preferowany język (locale).

b) Google Calendar (scope: https://www.googleapis.com/auth/calendar.events)

• odczyt wydarzeń z kalendarza Użytkownika (tytuł, opis, data i godzina rozpoczęcia, data i godzina zakończenia, lista uczestników, status uczestnika, lokalizacja, status zajętości w tym przedziale czasowym),
• tworzenie nowych wydarzeń w kalendarzu Użytkownika,
• modyfikacja oraz usuwanie wyłącznie wydarzeń utworzonych przez aplikację HR Panorama,
• odczyt informacji o dostępności (free/busy) w celu zaproponowania terminów spotkań.

HR Panorama korzysta z minimalnego scope’u calendar.events (zamiast pełnego calendar), aby ograniczyć dostęp wyłącznie do wydarzeń, a nie do ustawień ani metadanych kalendarza.

HR Panorama nie wnioskuje o dostęp i nie uzyskuje dostępu do wiadomości i załączników Gmail, plików Google Drive, kontaktów, dokumentów Google Docs/Sheets, ani jakichkolwiek innych usług Google Workspace poza wyżej wymienionymi.

2. Cel i sposób wykorzystania danych Google (Data Usage)

Dane pozyskane z konta Google są wykorzystywane wyłącznie w następujących celach:

a) Google Sign-In:

• uwierzytelnienie Użytkownika w Systemie HR Panorama,
• dopasowanie konta Google do istniejącego Konta w Systemie poprzez porównanie zweryfikowanego adresu e-mail,
• wyświetlenie podstawowych danych profilowych (imię, nazwisko, zdjęcie) w interfejsie Systemu.

b) Google Calendar:

• umieszczanie w kalendarzu Użytkownika wydarzeń tworzonych w Systemie HR Panorama, w szczególności: spotkań rekrutacyjnych, rozmów oceniających, spotkań 1:1, szkoleń, wydarzeń onboardingowych,
• automatyczna synchronizacja zatwierdzonych wniosków urlopowych i nieobecności jako wydarzeń w kalendarzu Użytkownika,
• odczyt informacji o dostępności Użytkownika w celu zaproponowania lub zarezerwowania optymalnych terminów spotkań HR,
• aktualizacja i odwoływanie wydarzeń utworzonych przez HR Panorama w przypadku zmian w Systemie (np. przełożenie spotkania, anulowanie wniosku).

HR Panorama nie wykorzystuje danych pozyskanych z Google (w tym danych z Kalendarza Google) do:

• celów marketingowych, reklamowych ani profilowania reklamowego,
• trenowania modeli sztucznej inteligencji ani uczenia maszynowego,
• analizy treści wydarzeń kalendarzowych w sposób wykraczający poza realizację konkretnej funkcji zleconej przez Użytkownika,
• udostępniania danych kalendarza innym Użytkownikom Systemu poza zakresem niezbędnym do realizacji funkcji (np. wyświetlenie statusu free/busy dla osoby proponującej spotkanie),
• jakichkolwiek celów innych niż wymienione w pkt 2 powyżej.

Korzystanie z danych Google przez HR Panorama jest zgodne z polityką Google API Services User Data Policy, w tym z wymogami Limited Use.

3. Udostępnianie danych Google podmiotom trzecim (Data Sharing)

HR Panorama nie udostępnia, nie sprzedaje, nie wynajmuje ani nie przekazuje danych pozyskanych z konta Google Użytkownika (w tym danych z Kalendarza Google) żadnym podmiotom trzecim w celach marketingowych, reklamowych ani komercyjnych.

Dane Google mogą być przetwarzane wyłącznie przez:

a) dostawców infrastruktury technicznej, z których korzysta HR Panorama do świadczenia usługi (DigitalOcean, Amazon Web Services, Cloudflare) — wyłącznie jako podmioty przetwarzające na zlecenie HR Panorama, na podstawie umów powierzenia przetwarzania danych zgodnych z art. 28 RODO, b) Klienta (pracodawcę), który jest administratorem danych Użytkownika Końcowego w ramach swojej instancji Systemu — w zakresie niezbędnym do realizacji funkcji HR (np. wyświetlenie zatwierdzonego urlopu w kalendarzu), c) uprawnione organy państwowe — wyłącznie w przypadku istnienia obowiązku prawnego wynikającego z obowiązujących przepisów.

HR Panorama nie przekazuje danych z Kalendarza Google żadnym dostawcom modeli AI, narzędziom analitycznym ani podmiotom trzecim niewymienionym powyżej.

4. Przechowywanie i ochrona danych Google (Data Storage & Protection)

a) Tokeny Google Sign-In. Tokeny dostępu (access tokens) i tokeny ID wydane podczas procesu logowania nie są zapisywane w bazach danych HR Panorama. Są przetwarzane wyłącznie w pamięci serwera (in-memory) podczas trwania procesu uwierzytelnienia.

b) Tokeny Google Calendar. Aby umożliwić ciągły dostęp do Kalendarza Google (w tym dostęp w tle, gdy Użytkownik nie jest aktywnie zalogowany), HR Panorama przechowuje refresh tokeny wydane przez Google. Tokeny te są:

• szyfrowane przed zapisem do bazy danych przy użyciu algorytmu AES-256-GCM,
• przechowywane w izolowanej schemacie bazy danych Klienta (architektura schema-per-tenant),
• powiązane wyłącznie z konkretnym Kontem Użytkownika w Systemie,
• nigdy nie są transmitowane poza infrastrukturę HR Panorama ani logowane w postaci jawnej.

Access tokeny Google Calendar są przechowywane wyłącznie w pamięci podręcznej Redis (z czasem wygaśnięcia odpowiadającym TTL tokena, maksymalnie 1 godzina) i nie są persystowane w bazie danych.

c) Tokeny tymczasowe (handshake tokens używane w komunikacji wewnętrznej Auth Hub) są przechowywane w pamięci podręcznej Redis z automatycznym czasem wygaśnięcia nieprzekraczającym 60 sekund (pattern SET NX EX) i są usuwane natychmiast po jednorazowym użyciu.

d) W bazie danych Klienta przechowywane są wyłącznie minimalne dane niezbędne do realizacji funkcji: unikalny identyfikator Google (sub), adres e-mail powiązany z Kontem, zaszyfrowany refresh token Google Calendar oraz identyfikatory wydarzeń (event ID) utworzonych przez HR Panorama w kalendarzu Użytkownika — wyłącznie w celu umożliwienia ich późniejszej aktualizacji lub usunięcia.

e) Treść wydarzeń Kalendarza Google (tytuły, opisy, dane uczestników) nie jest persystowana w bazach danych HR Panorama. Dane te są pobierane z API Google na żądanie, przetwarzane w pamięci w celu realizacji konkretnej operacji, a następnie usuwane.

f) Środki techniczne bezpieczeństwa:

• cała komunikacja odbywa się wyłącznie przez szyfrowane połączenie HTTPS/TLS 1.2+,
• żądania pomiędzy komponentami Systemu są podpisywane mechanizmem HMAC z użyciem współdzielonych sekretów,
• tokeny wewnętrzne są podpisywane algorytmem JWT HS256,
• klucze szyfrujące refresh tokeny są przechowywane oddzielnie od bazy danych, w zarządzanym magazynie sekretów,
• infrastruktura jest chroniona przez Cloudflare (WAF, ochrona przed DDoS),
• bazy danych są separowane w architekturze schema-per-tenant,
• dostęp administracyjny do infrastruktury jest zabezpieczony uwierzytelnianiem dwuskładnikowym (2FA),
• regularnie przeprowadzane są testy bezpieczeństwa oraz audyty zgodnie z wymogami ISO/IEC 27001.

g) Certyfikacja: HR Panorama posiada certyfikat ISO/IEC 27001 potwierdzający wdrożenie systemu zarządzania bezpieczeństwem informacji.

h) Lokalizacja danych: Infrastruktura HR Panorama jest zlokalizowana w europejskich centrach danych w ramach Europejskiego Obszaru Gospodarczego.

5. Okres przechowywania i usuwanie danych Google (Data Retention & Deletion)

a) Tokeny tymczasowe (handshake tokens w Redis) wygasają automatycznie w ciągu maksymalnie 60 sekund.

b) Access tokeny Google Calendar wygasają zgodnie z polityką Google (typowo 1 godzina) i są usuwane z pamięci podręcznej Redis po wygaśnięciu.

c) Refresh tokeny Google Calendar są przechowywane (w postaci zaszyfrowanej) dopóki:

• Użytkownik posiada aktywne Konto w Systemie HR Panorama oraz aktywną integrację z Kalendarzem Google,
• Klient (pracodawca) ma aktywną umowę z HR Panorama.

d) Powiązanie konta Google z Kontem w Systemie (identyfikator sub i adres e-mail) przechowywane jest tak długo, jak długo istnieje powiązane Konto Użytkownika.

e) Identyfikatory wydarzeń utworzonych przez HR Panorama w kalendarzu Użytkownika są przechowywane przez okres istnienia powiązanego rekordu w Systemie (np. wniosku urlopowego, zaplanowanego spotkania) i są usuwane wraz z usunięciem tego rekordu.

f) W przypadku usunięcia Konta Użytkownika w Systemie wszystkie powiązane dane Google (refresh token, identyfikator sub, identyfikatory wydarzeń) są bezpowrotnie usuwane z baz danych HR Panorama w czasie nie dłuższym niż 30 dni, zgodnie z zasadami określonymi w sekcji IV niniejszej Polityki Prywatności.

g) Użytkownik może w każdej chwili:

• odłączyć integrację z Kalendarzem Google od swojego Konta w Systemie poprzez ustawienia profilu — powoduje to natychmiastowe usunięcie refresh tokena z bazy danych HR Panorama,
• odłączyć konto Google od logowania SSO w ustawieniach profilu,
• cofnąć wszystkie uprawnienia udzielone aplikacji HR Panorama bezpośrednio w ustawieniach swojego konta Google pod adresem: https://myaccount.google.com/permissions — po cofnięciu uprawnień refresh tokeny przechowywane przez HR Panorama tracą ważność i są usuwane przy pierwszej nieudanej próbie ich użycia,
• zażądać usunięcia wszystkich danych pozyskanych z konta Google, kontaktując się z Administratorem pod adresem hello@hrpanorama.com. Żądanie zostanie zrealizowane w terminie nieprzekraczającym 30 dni.

Cofnięcie uprawnień lub odłączenie integracji nie powoduje automatycznego usunięcia wydarzeń wcześniej utworzonych przez HR Panorama w kalendarzu Użytkownika — Użytkownik może je usunąć ręcznie z poziomu Kalendarza Google.

6. Model B2B — HR Panorama jako podmiot przetwarzający

HR Panorama jest dostawcą oprogramowania w modelu B2B SaaS. W kontekście integracji Użytkowników Końcowych (pracowników Klienta) z usługami Google, HR Panorama działa jako podmiot przetwarzający dane osobowe w rozumieniu art. 28 RODO, na zlecenie Klienta, który pełni rolę administratora danych swoich pracowników.

Klient (pracodawca) samodzielnie decyduje o włączeniu integracji z Google Calendar dla swojej instancji Systemu, a każdy Użytkownik Końcowy musi indywidualnie wyrazić zgodę OAuth na dostęp do swojego kalendarza.

X Zmiany w Polityce Prywatności

Stosownie do potrzeb możemy zmieniać i uzupełniać Politykę Prywatności. O wszelkich zmianach lub uzupełnieniach poinformujemy Cię poprzez zamieszczenie odpowiednich informacji na głównej stronie Serwisu, a w przypadku istotnych zmian możemy wysłać Ci także odrębne powiadomienia na wskazany przez Ciebie adres e-mail.

Polityka Prywatności nie ogranicza żadnych uprawnień przysługujących Ci zgodnie z Regulaminem oraz przepisami prawa.